Le cadre des transferts internationaux de données
Tout transfert de données personnelles vers un pays situé en dehors de l’Espace économique européen (EEE) doit reposer sur un mécanisme prévu par le RGPD. En l’absence de décision d’adéquation de la Commission européenne, les clauses contractuelles types (CCT) constituent le mécanisme le plus utilisé par les organisations.
Les CCT adoptées par la Commission européenne le 4 juin 2021 remplacent les anciennes versions. Elles couvrent quatre scénarios de transfert : responsable de traitement vers responsable de traitement, responsable de traitement vers sous-traitant, sous-traitant vers sous-traitant, et sous-traitant vers responsable de traitement.
Mettre en oeuvre les CCT dans la pratique
L’adoption des CCT ne suffit pas à elle seule. L’arrêt Schrems II de la Cour de justice de l’Union européenne impose de réaliser une évaluation de l’impact du transfert (Transfer Impact Assessment ou TIA) pour vérifier que la législation du pays destinataire n’empêche pas le respect des garanties prévues par les CCT.
Cette évaluation prend en compte la nature des données transférées, la finalité du traitement, la législation et les pratiques du pays tiers en matière de surveillance gouvernementale, et les mesures supplémentaires éventuellement mises en place (chiffrement, pseudonymisation).
Les CCT doivent être signées sans modification par les parties. Cependant, des clauses complémentaires peuvent être ajoutées tant qu’elles ne contredisent pas les CCT et ne réduisent pas le niveau de protection des personnes concernées.
Le cas particulier des transferts vers les États-Unis
Le Data Privacy Framework (DPF) adopté en juillet 2023 permet les transferts vers les entreprises américaines auto-certifiées. Toutefois, la pérennité de ce cadre reste incertaine. De nombreux experts anticipent un éventuel arrêt « Schrems III » qui pourrait invalider ce mécanisme.
Les organisations prudentes maintiennent les CCT en parallèle du DPF, afin de disposer d’un mécanisme de repli en cas d’invalidation. Le chiffrement de bout en bout des données transférées constitue une mesure supplémentaire fortement recommandée par le CEPD.
Les sanctions en cas de transfert non conforme
Les transferts de données sans base légale adéquate constituent une violation grave du RGPD. La CNIL a prononcé plusieurs sanctions significatives pour des transferts non conformes, notamment à l’encontre de responsables de traitement utilisant Google Analytics sans garanties suffisantes.
L’amende peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Au-delà de la sanction financière, la CNIL peut ordonner la suspension des transferts, ce qui peut paralyser l’activité de l’organisation concernée.
